Kamerat e sigurisë janë bërë shumë më të aksesueshme gjatë viteve të fundit. Sot mjaftojnë disa dhjetëra euro për të blerë online një kamerë Wi-Fi, për ta lidhur me një aplikacion në telefon dhe për të parë në kohë reale shtëpinë, zyrën apo biznesin nga kudo në botë.
Por pikërisht kjo lehtësi krijon edhe një ndryshim të rëndësishëm: jo çdo kamerë sigurie funksionon në të njëjtën mënyrë dhe jo çdo sistem ofron të njëjtin nivel sigurie.
CCTV vjen nga Closed-Circuit Television. Në një sistem tradicional, kamerat lidhen me një DVR ose NVR dhe regjistrimet ruhen lokalisht, zakonisht në hard disk.
Një sistem i tillë mund të projektohet në mënyrë që kamerat dhe regjistruesi të funksionojnë vetëm brenda rrjetit lokal, pa qenë të aksesueshme drejtpërdrejt nga interneti.
Kjo zvogëlon sipërfaqen e ekspozimit ndaj sulmeve nga interneti, por nuk e bën automatikisht sistemin të pahakueshëm. Nëse NVR/DVR ekspozohet në internet për remote access, përdoren password-e të dobëta, aktivizohet port forwarding ose pajisjet nuk përditësohen, edhe një sistem CCTV mund të komprometohet.
National Cyber Security Centre (NCSC) paralajmëron se teknologji si UPnP dhe konfigurime të port forwarding mund të shfrytëzohen potencialisht për të aksesuar pajisje të lidhura në rrjet.
Një cloud camera është në thelb një pajisje IoT (Internet of Things).
E lidhim kamerën me Wi-Fi, instalojmë aplikacionin e prodhuesit, skanojmë një QR code dhe, pak minuta më vonë, mund ta shohim kamerën nga telefoni edhe kur ndodhemi në një shtet tjetër.
Për përdoruesin duket sikur telefoni po komunikon thjesht me kamerën. Në realitet, në shumë sisteme ekziston një infrastrukturë më e madhe pas saj:
Kamera → Internet → Cloud/Server → Aplikacion → Përdorues
Disa modele ruajnë regjistrimet në microSD, disa në cloud dhe të tjera i ofrojnë të dyja mundësitë. Por vetë funksioni që na lejon të shohim kamerën nga jashtë shtëpisë krijon një sipërfaqe sulmi që duhet mbrojtur.
FTC (Federal Trade Commission) paralajmëron se kamerat që transmetojnë video live mund të hakohen dhe rekomandon që përdoruesit të kontrollojnë nëse prodhuesi përdor enkriptim për informacionin e llogarisë, livestream-in dhe videot e arkivuara.
Kur blejmë një kamerë smart, në realitet nuk po blejmë vetëm sensorin, lentet dhe motorin që e rrotullon. Po i besojmë një kompanie edhe një pjesë të privatësisë sonë.
A ka komunikimi enkriptim të sigurt? Si autentifikohet përdoruesi? A ekziston 2FA? A merr kamera security updates? Për sa vite? Çfarë ndodh kur zbulohet një vulnerability? A ka kompania një ekip sigurie dhe një mënyrë publike për raportimin e problemeve?
Kjo do të thotë se një dobësi nuk duhet domosdoshmërisht të jetë te vetë kamera. Ajo mund të jetë te aplikacioni, API-ja, serveri cloud, autentifikimi apo firmware-i.
Nëse një prej këtyre hallkave dështon, një pajisje që është instaluar për të rritur sigurinë mund të kthehet në një problem serioz privatësie.
Çmimi i ulët nuk do të thotë automatikisht se një kamerë është e pasigurt dhe origjina kineze nuk është në vetvete tregues i mungesës së sigurisë. Shumë prej prodhuesve më të mëdhenj të pajisjeve elektronike dhe sistemeve të survejimit prodhojnë në Kinë.
Problemi fillon kur kemi të bëjmë me produkte no-name ose marka me pak transparencë, të shitura në marketplace online, ku është e vështirë të përcaktohet kush e zhvillon firmware-in, kush administron serverët dhe për sa kohë pajisja do të marrë security patches.
Kjo është veçanërisht problematike për një pajisje që mund të jetë aktive 24 orë në ditë brenda një ambienti privat.
Edhe NCSC, në udhëzuesin për pajisjet smart, rekomandon kontrollimin e prodhuesit dhe periudhës së support-it përpara blerjes dhe paralajmëron se pajisjet që nuk mbështeten më me përditësime bëhen më të ekspozuara ndaj sulmeve.
Në varësi të dobësisë dhe arkitekturës së sistemit, një sulmues mund të synojë aksesin në livestream, regjistrimet e ruajtura, llogarinë e përdoruesit ose funksionet e kontrollit të kamerës.
Në modele PTZ (Pan-Tilt-Zoom), komprometimi i plotë i pajisjes mund të nënkuptojë potencialisht edhe kontroll mbi drejtimin e kamerës. Nëse pajisja ka mikrofon dhe komunikim two-way audio, rreziku nuk kufizohet domosdoshmërisht vetëm te video.
Dhe problemi mund të shkojë më tej se privatësia e kamerës. Një pajisje IoT e komprometuar ndodhet brenda të njëjtit rrjet me pajisje të tjera.
Pikërisht për këtë arsye FTC rekomandon që përdoruesit të konsiderojnë vendosjen e kamerave në një rrjet të ndarë nga pajisje si kompjuterët dhe printerët.
Një password i fortë nuk mjafton nëse infrastruktura është e dobët
Një prej këshillave më të zakonshme është “ndrysho password-in default”. Është një masë shumë e rëndësishme, por nuk zgjidh çdo problem.
Nëse backend-i i kompanisë ka një vulnerability serioze, API-ja nuk kontrollon siç duhet autorizimin ose të dhënat transmetohen në mënyrë të pasigurt, përdoruesi nuk mund ta kompensojë këtë vetëm duke zgjedhur një password kompleks.
Për këtë arsye standardi europian ETSI EN 303 645, i cili përcakton kërkesa bazë cybersecurity për pajisjet consumer IoT, përfshin masa që lidhen me password-et, raportimin e vulnerabiliteteve, përditësimet e software-it, ruajtjen e sigurt të parametrave sensitive dhe komunikimin e sigurt.
Nuk ekziston një përgjigje absolute se njëra teknologji është gjithmonë e sigurt dhe tjetra jo.
Një sistem CCTV/NVR i konfiguruar mirë mund t’i mbajë kamerat dhe regjistrimet plotësisht brenda rrjetit lokal, duke reduktuar varësinë nga serverët e palëve të treta.
Një cloud camera, nga ana tjetër, është shumë më praktike për përdoruesin: instalim i shpejtë, notifications, remote viewing, backup cloud dhe akses nga telefoni kudo që ndodhemi.
Por komoditeti vjen me një kusht: duhet t’i besojmë jo vetëm kamerës, por të gjithë infrastrukturës që qëndron pas saj.
Prandaj, para se të vendosim një kamerë që do të shohë 24/7 hyrjen e shtëpisë, dhomën e ndenjjes, një zyrë apo një ambient tjetër privat, nuk duhet të shohim vetëm rezolucionin 2K/4K, night vision apo çmimin.
Duhet të dimë edhe kush e ka prodhuar, kush e mirëmban cloud-in dhe për sa kohë do të kujdeset për sigurinë e saj.
Zgjidhni një prodhues të identifikueshëm që publikon informacione për security updates dhe ka support real. Kontrolloni nëse ofrohet 2FA/MFA, nëse komunikimi dhe videot janë të enkriptuara dhe për sa kohë prodhuesi premton firmware/security updates.
Ndryshoni çdo password default dhe përdorni një password unik. Mbani firmware-in dhe aplikacionin të përditësuar. Nëse router-i e mundëson, vendosni pajisjet IoT në një guest network ose VLAN të ndarë nga kompjuterët dhe pajisjet ku ruhen të dhëna sensitive.
Nëse nuk ju nevojitet aksesimi i kamerës nga jashtë rrjetit, NCSC rekomandon të konsideroni çaktivizimin e remote viewing.
Mbi të gjitha, duhet të jemi skeptikë ndaj një kamere jashtëzakonisht të lirë nga një markë për të cilën nuk gjejmë pothuajse asnjë informacion, support apo histori përditësimesh.
Sepse një kamerë sigurie nuk është thjesht një pajisje që regjistron video.
Është një sensor me sy dhe shpesh me veshë, i lidhur vazhdimisht me rrjetin tonë dhe siguria e tij është po aq e rëndësishme sa cilësia e videos që regjistron.
